Política de Privacidade

1.Quem somos e como nos procurar

A Gango Tech Ltda., inscrita no CNPJ sob o nº 50.086.381/0001-41, desenvolve e opera software para pequenas empresas, e é ela quem opera o aplicativo de negócios junto à Meta e o serviço de mensageria descritos na seção 2.

Canal de privacidade: privacy@gango.tech. Solicitações, dúvidas e comunicações relativas a este documento e ao tratamento de dados pessoais devem ser encaminhadas para esse endereço. Respondemos por esse canal, e é por ele que o titular exerce os direitos do art. 18 da LGPD (Lei nº 13.709/2018).

A Gango Tech Ltda. enquadra-se como agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, e mantém um canal de comunicação com os titulares em lugar da nomeação formal de encarregado, na forma facultada pela referida Resolução. O canal é o endereço acima: não há nome de pessoa a descobrir, e nenhum pedido depende de alcançar alguém em particular.

2.Escopo e qual documento prevalece

Esta Política cobre duas coisas: o aplicativo de negócios junto à Meta operado pela Gango Tech Ltda., por meio do qual uma empresa conecta um número de WhatsApp, e o notify-core, o nosso serviço de mensageria, que recebe as chamadas da Meta em um único endereço de webhook e entrega as mensagens que os nossos produtos mandam entregar.

Ela não substitui a política de privacidade de nenhum produto. O GerTruck e o Ternavi publicam cada um a sua, dirigida a quem de fato usa aquele produto, e é essa a divulgação que prevalece quanto àquele produto — inclusive sobre o que ele coleta, quem é o controlador e qual provedor de mensageria aquele produto usa hoje. Havendo divergência entre este documento e a política de um produto a respeito daquele produto, prevalece a política do produto.

A fronteira é traçada assim de propósito. Um documento no nível da Gango, escrito para um revisor, não pode ser o lugar onde um tenant descobre como o próprio produto dele se comporta; isso pertence ao documento que ele aceitou. O que esta Política responde é a pergunta que um revisor do aplicativo tem o direito de fazer: o que fazemos com o dado que a WhatsApp Business Platform põe nas nossas mãos.

• •Políticas dos produtos. GerTruck: gertruck.com.br/privacidade. Ternavi: ternavi.com.br/privacidade.
• •Idioma. Esta versão em português prevalece entre a Gango Tech Ltda. e os seus Clientes, na forma do art. 46 do Código de Defesa do Consumidor e do art. 423 do Código Civil. A versão em inglês existe para que os mesmos compromissos possam ser lidos pela Meta e por quem está fora do Brasil.
• •Termos do canal. As obrigações que o Cliente assume ao conectar um número estão nos Termos do Canal de WhatsApp, que são documento separado.

3.Os três papéis que podemos ocupar

O nosso papel muda conforme o dado, e é o papel que define quem responde a você. Essa distinção abre o documento porque um pedido dirigido à parte errada é um pedido que espera.

Operadores, do que o Cliente nos confia

Tudo o que um Cliente — um truck center, uma clínica veterinária — cadastra ou gera sobre os seus próprios clientes, e tudo o que nos entrega para entregar, é tratado por nós conforme as instruções dele e para as finalidades dele. O controlador é o Cliente: é ele quem decide o que coletar, para quê, sob qual base legal e por quanto tempo conservar. Nós somos operadores, na forma dos arts. 5º, VII e 39 da LGPD, e respondemos ao Cliente — com a solidariedade que o art. 42, §1º atribui ao operador que descumpre a lei ou as instruções lícitas do controlador.

Controladores, dos dados da nossa própria relação

Decidimos por conta própria sobre os dados cadastrais do Cliente, as credenciais que os sistemas dele usam para alcançar a nossa API, o registro de conexão de cada número de WhatsApp, a nossa cobrança e os registros de uso, de acesso e de segurança do serviço. Nessas hipóteses somos o controlador e respondemos diretamente ao titular.

Tech Provider, perante a Meta

Quando o Cliente conecta a sua própria conta do WhatsApp Business e o seu próprio token de acesso, atuamos como Tech Provider na forma da seção 5.b dos Platform Terms da Meta: operamos a integração por conta do Cliente, o Cliente permanece responsável pelas mensagens que envia, e as obrigações que nos alcançam por esse caminho estão nas seções 11, 12 e 16 desta Política.

4.Como funciona a integração

Não há etapa escondida aqui, e a mecânica importa para o resto do documento.

• •A conta e o token são do Cliente. O Cliente conecta a sua própria conta do WhatsApp Business informando o identificador do número e um token de acesso que ele mesmo emitiu, em uma tela do produto que usa. Nunca pedimos token por conversa, e-mail ou chamado de suporte.
• •O token é conferido antes de ser gravado. Chamamos a Graph API da Meta com as credenciais informadas primeiro; só um número que responde como conectado é gravado no nosso banco. Token que a Meta recusa não é persistido, e o mesmo vale para uma rotação cuja conferência falha.
• •Um único webhook. Todas as chamadas da Meta — estados de entrega, mensagens recebidas, atualizações de template e de conta — chegam a um único endereço do notify-core, cuja assinatura é conferida em toda requisição antes de qualquer leitura do corpo.
• •Graph API v23.0. É a versão que o nosso cliente fixa, e é de lá que vêm os nomes de campo citados na seção 5.
• •Números da plataforma. Alguns produtos enviam por um número da própria Gango Tech Ltda., e não por um número do Cliente. Nesse caso o número é nosso, o perfil comercial no WhatsApp o identifica como nosso, e as consequências disso — para o perfil que o destinatário vê e para a franquia gratuita de mensagens de atendimento da Meta, que pertence ao NÚMERO — estão descritas nos Termos do Canal.
• •Desconectar apaga a nossa cópia do token, e só a nossa. O token continua válido na Meta até que o Cliente o revogue no Business Manager. Dizemos isso com todas as letras porque a suposição contrária é a que deixa uma credencial viva de pé.

5.O que tratamos

Platform Data, vindo da WhatsApp Business Platform

Platform Data é o termo da Meta para o que a plataforma nos entrega. No nosso caso, é isto:

• •O número de telefone do destinatário em formato internacional — o identificador que o WhatsApp usa para uma pessoa na rede.
• •O conteúdo das mensagens enviadas e recebidas: texto, legendas de mídia, nome de arquivo e as respostas que uma pessoa envia em um fluxo interativo.
• •Identificadores de mídia, nunca a mídia: um identificador, o tipo do arquivo, a legenda e o nome do arquivo.
• •O identificador de mensagem da Meta (wamid) e os estados de entrega devolvidos para ele: aceita para envio, entregue e falha, com o erro que a plataforma informou.
• •Metadados de cobrança que a Meta devolve para a mensagem: se ela é tarifada, a sua categoria, o tipo e o modelo de precificação. Essas linhas são chaveadas pelo identificador da mensagem e pelo número, e não guardam endereço de destinatário.
• •Metadados de template: nome, idioma, a categoria pedida e a categoria que a Meta concedeu, e a situação da revisão.
• •O identificador do número e, quando o Cliente tem uma, o identificador da conta do WhatsApp Business — que é como a Meta organiza a fatura.
• •A janela de atendimento de 24 horas por contato, que registra quando aquele contato escreveu pela última vez, porque é ela que decide se texto livre pode ser enviado.

O token de acesso do Cliente

Guardamos o token de acesso que o Cliente informa, porque o serviço precisa de uma credencial utilizável a cada envio. O que fazemos com ele — e o que não afirmamos sobre ele — está na seção 16.

Dados que o Cliente cadastra, por remissão

Os dados que um truck center guarda sobre os seus clientes e veículos, e os que uma clínica guarda sobre tutores e pacientes, estão enumerados por inteiro na política daquele produto, e nós os tratamos como operadores. Este documento não repete essas listas: uma segunda lista seria uma segunda fonte de verdade, e as duas divergiriam.

Dados de que somos controladores

• •Dados cadastrais do Cliente e contatos de quem administra a conta dele.
• •A credencial que os sistemas dele usam para alcançar a nossa API, armazenada apenas como hash.
• •O registro de conexão de cada número: estado, o momento da primeira conexão e os contadores que governam os seus limites de envio.
• •A nossa cobrança ao Cliente e os contadores mensais descritos nos Termos do Canal.
• •Registros de uso, de acesso e de segurança do serviço, inclusive a cópia bruta de cada chamada de webhook descrita na seção 13.

6.O que não coletamos

São recusas com código por trás, e não intenções. Cada uma delas é a razão de uma categoria acima ser mais curta do que o leitor esperaria.

• •Os bytes da mídia. Quando um produto precisa de uma imagem, de um documento ou de um áudio que chegou pelo WhatsApp, o nosso serviço o busca na Meta e o repassa adiante, com cache desligado. Nada é escrito em disco, em bucket ou no banco. O plano previa gravar as mídias no nosso próprio armazenamento de objetos; não foi feito, e a razão é de privacidade, não de esforço.
• •A confirmação de leitura. A Meta informa quando a mensagem é lida. Não registramos. Os nossos estados de entrega param em “entregue”, e não há rastreamento de abertura, de clique nem pixel em lugar nenhum do serviço. Guardar o evento de leitura transformaria um log de entrega em rastreamento de leitura que ninguém pediu.
• •O nome de perfil do WhatsApp. Não guardamos o nome que a pessoa configurou no perfil dela. Conhecemos o destinatário por um número de telefone, e é só isso.
• •Lista de contatos e histórico de conversa. Não importamos a agenda do Cliente e não lemos histórico de conversa de lugar nenhum. Para nós, a conversa existe a partir da mensagem que passa por nós — e dali em diante.
• •Número completo de cartão, de conta bancária ou de documento de identificação pelo WhatsApp. Não enviamos e não pedimos esses dados em mensagem. Pagamento acontece sempre na página da própria instituição de pagamento, alcançada por link.
• •Conteúdo clínico pelo WhatsApp. O aviso do Ternavi ao familiar carrega o nome da clínica, o nome do animal e um link seguro pessoal. O registro da internação — mensagens, fotos, fichas de parâmetros, o dossiê — fica dentro da plataforma, atrás desse link, e não trafega pelo canal.

7.Para que tratamos

• •Entregar as mensagens que o Cliente manda entregar, e receber as respostas a elas.
• •Manter o registro de entrega, para que o Cliente possa demonstrar o que foi enviado, quando, e o que a plataforma respondeu.
• •Fazer valer os limites do próprio canal: a taxa de envio por número, a rampa de aquecimento de um número recém-conectado, o teto diário e a conferência que bloqueia um template cuja categoria a Meta concedeu diferente da pedida.
• •Represar a fila em vez de perdê-la quando um número deixa de poder enviar, e liberá-la quando o número volta.
• •Contar as mensagens de atendimento por número e por mês, para que o Cliente veja a sua posição diante da franquia gratuita da Meta.
• •Prestar suporte, manter o serviço seguro e prevenir abuso do canal.
• •Cumprir obrigações legais e regulatórias e exercer regularmente direitos em processo.

O limite que vem junto com o Platform Data. O dado que obtemos da Meta sobre uma pessoa é usado apenas no que for razoavelmente necessário para dar suporte à troca de mensagens com aquela pessoa. Não serve para enriquecer perfil, para direcionar nada, nem para qualquer finalidade que a conversa daquela pessoa não sirva. É a seção 3.a dos Platform Terms da Meta e é também o art. 6º, I e III da LGPD; manteríamos a mesma linha sem nenhum dos dois.

As mensagens que os nossos produtos enviam são avisos de serviço — um vencimento que se aproxima, uma atualização sobre um animal internado — e saem como templates utility ou dentro de uma janela de atendimento de 24 horas aberta. Não usamos o canal para anunciar os nossos próprios produtos aos clientes do Cliente.

8.Bases legais

Cada categoria tem a sua própria hipótese do art. 7º da LGPD, e não estendemos uma hipótese a outra categoria para economizar parágrafo.

• •Execução de contrato (art. 7º, V) — dados cadastrais e de conta do Cliente, registro de conexão de cada número, a nossa cobrança, e a entrega de cada mensagem, que é o próprio serviço.
• •Legítimo interesse (art. 7º, IX) — os registros de uso, de acesso e de segurança, a conferência de assinatura e a cópia bruta do webhook que tornam uma chamada auditável, os limites de envio e a prevenção de abuso do canal. A ponderação é a ordinária: o tratamento é o que mantém o serviço funcionando e seguro, está na expectativa de quem o usa, e nada disso alimenta decisão sobre pessoa alguma.
• •Cumprimento de obrigação legal ou regulatória (art. 7º, II) — os registros que a lei manda guardar, enumerados como critério na seção 13, e o piso de guarda que se aplica ao prontuário médico-veterinário.

Nos tratamentos em que atuamos como operadores, a base legal é indicada pelo Cliente, na qualidade de controlador, e está documentada na política daquele produto. Os lembretes de vencimento do GerTruck, em particular, apoiam-se no legítimo interesse do truck center controlador (art. 7º, IX), com link de descadastro em todo lembrete, exatamente como diz a seção 6 da política daquele produto. Este documento não repete essa análise e não a modifica — duas formulações da mesma ponderação, em dois lugares, seriam uma formulação a mais.

A oposição que registramos para um destinatário é honrada no momento da entrega, conferida imediatamente antes do despacho da mensagem, na forma do art. 18, §2º. O registro é feito por nós a pedido, à mão: não há tela de autoatendimento nem endereço de API que o Cliente possa chamar para registrá-lo, como diz a seção 17. Nada nesta Política pede consentimento ao titular, e a exigência de opt-in da Meta é exigência contratual de um terceiro — não é consentimento da LGPD.

9.O que nunca fazemos

• •Não vendemos, não licenciamos e não compramos Platform Data, e não vendemos dado pessoal de nenhuma espécie.
• •Não usamos Platform Data, nem o que o Cliente nos confia, para treinar modelos de inteligência artificial.
• •Não usamos esses dados para discriminar ninguém, nem para tomar ou apoiar decisão sobre elegibilidade de uma pessoa — a crédito, a seguro, a emprego, a moradia, a ensino ou a benefício público.
• •Não construímos perfis das pessoas a quem o Cliente escreve, e não há decisão automatizada nossa que produza efeitos sobre uma pessoa.
• •Não usamos a plataforma para vigilância, e não disponibilizamos Platform Data a quem o faria.
• •Não tentamos reidentificar dado anonimizado, e não combinamos Platform Data com dado de outra origem para identificar alguém.
• •Não compartilhamos o dado de um Cliente com outro Cliente, de forma agregada ou não.

Os dois primeiros itens são o mesmo compromisso que as políticas dos produtos assumem com as palavras delas, e são deliberadamente idênticos em substância: um Cliente que leia os dois documentos não pode encontrar duas promessas diferentes sobre a mesma coisa.

10.Quem mais trata os dados

Não vendemos dados pessoais. Compartilhamos dados apenas com fornecedores que apoiam a operação do serviço, cada um restrito ao mínimo necessário à sua função:

• •Meta Platforms — a WhatsApp Business Platform. Recebe o número de telefone do destinatário e o conteúdo da mensagem, porque é nisso que consiste entregar uma mensagem de WhatsApp.
• •Resend — envio de e-mails transacionais, nos Estados Unidos. Recebe o endereço de e-mail do destinatário, o nome quando aplicável, e o conteúdo da mensagem. Nada além disso: nem anexo, nem relatório exportado.
• •Amazon Web Services (S3), região sa-east-1 — armazenamento dos arquivos que os produtos guardam (fotos e documentos de veículo, papelada cadastral, mídia clínica e dossiês) e das cópias de segurança diárias do banco. No Brasil.
• •Google Cloud, região southamerica-east1 — a máquina virtual que roda as aplicações e o banco de dados compartilhado. No Brasil, em São Paulo.
• •Asaas IP S.A. — instituição de pagamento, no Brasil, para o módulo de pagamentos do GerTruck. Recebe os dados cadastrais do truck center e, quando uma cobrança é emitida, o nome, o CPF ou CNPJ, o e-mail e o telefone do cliente final a ser cobrado.
• •Sentry — captura de erros da aplicação, no Ternavi, e apenas quando a integração está configurada. Recebe rastros técnicos de execução, com body, cookies, querystring e endereços de e-mail removidos antes do envio. Enquanto não estiver configurada, nada segue por esse caminho.
• •notify-core — serviço da própria Gango Tech Ltda., e não um terceiro, responsável pelo ciclo de vida do número de WhatsApp e pela entrega de cada mensagem. Está listado aqui por transparência: não há compartilhamento com outra empresa nesse caminho.

Também poderemos compartilhar dados para cumprimento de obrigação legal ou por determinação de autoridade competente. Troca de fornecedor, de destino ou do que um fornecedor recebe altera esta Política antes do deploy, na forma da seção 20.

11.Como os dados de um Cliente ficam separados dos de outro

A separação é imposta em toda leitura e em toda escrita, e se apoia em dois fatos, não em uma convenção:

• •A aplicação que chama é identificada só pela credencial dela. A chave de API resolve para exatamente uma aplicação, e a aplicação assim resolvida é a única origem do identificador de aplicação que o resto do serviço usa. Nenhum corpo de requisição, parâmetro ou cabeçalho consegue nomear outra — não existe, em nenhum ponto do serviço, esquema de validação que aceite esse campo. Aplicação inativa é recusada exatamente como chave errada.
• •Dentro de uma aplicação, tudo é escopado por um identificador de tenant opaco. Esse identificador é fornecido pelo produto e deliberadamente não é chave estrangeira para nada: o nosso serviço de mensageria não sabe — e não pode passar a saber — o que é um tenant no produto do Cliente. Ele é imutável e não é editável por nenhuma tela de configurações.
• •Mensagem recebida é roteada pelo número, e número desconhecido não roteia para lugar nenhum. A chamada é casada com um número conectado pelo identificador de número da Meta. Se nenhum número conectado casar, a chamada não gera evento para ninguém — não para o Cliente mais próximo, não para um tenant padrão. Ela é contada e para ali.

12.O nosso registro de Clientes

A seção 5.b dos Platform Terms da Meta exige que o Tech Provider mantenha lista atualizada dos Clientes por conta de quem acessa a plataforma. Mantemos esse registro: para cada número conectado guardamos a aplicação a que pertence, o identificador de tenant que o detém, a conta do WhatsApp Business sob a qual ele está, o momento da primeira conexão e o estado atual. Disponibilizamos esse registro à Meta quando solicitado.

13.Por quanto tempo conservamos

A parte que é automática, e que roda independentemente de alguém pedir: noventa dias. Uma rotina diária do nosso serviço de mensageria toma toda mensagem cujo envio já terminou — enviada, abandonada ou dispensada — e com mais de 90 dias, e apaga dela o endereço do destinatário e o conteúdo, carimbando o momento em que o fez. O que sobrevive é o registro de entrega: qual provedor a levou, o identificador de mensagem da plataforma, o estado resultante, quando saiu, e os identificadores que a ligam a uma aplicação e a um tenant. Mensagem que ainda espera para ser enviada é deliberadamente poupada.

Outras duas espécies de linha estão no mesmo corte de 90 dias, e as duas guardam telefone:

• •As linhas de janela de atendimento de 24 horas, uma por contato, que guardam o número em dígitos em claro porque é o que decide se texto livre pode ser enviado. Essas linhas são apagadas de vez, e não em branco. O corte é de 90 dias, e não de 24 horas, de propósito: o envio só olha o último dia, então um corte folgado não custa nada e um corte apertado arriscaria apagar janela ainda em vigor.
• •Os recibos de entrega que a Meta devolve, dos quais o identificador do destinatário é removido do payload guardado, conservando-se o recibo.

GerTruck

O GerTruck conserva os dados pelo tempo necessário às finalidades descritas na política dele e ao cumprimento de obrigações legais, regulatórias, contábeis e fiscais. Não há, hoje, rotina automática de expurgo no GerTruck — a eliminação é um procedimento conduzido a pedido. Aplicam-se, especificamente, os seguintes critérios de conservação:

• •Cobranças emitidas e lançamentos do livro-razão: conservados por 5 (cinco) anos contados do encerramento do exercício em que ocorreu a operação, para atender às obrigações contábeis, fiscais e de escrituração e ao exercício regular de direitos (art. 7º, II e VI, e art. 16, I da LGPD).
• •Cópias dos documentos de verificação cadastral: conservadas enquanto perdurar a finalidade de reenvio e de comprovação perante a instituição de pagamento, isto é, enquanto o módulo de pagamentos estiver ativo para a empresa. Encerrado o módulo, o arquivo é eliminado mediante solicitação pelo canal de privacidade, conservando-se apenas o registro do tipo de documento, do momento do envio e da situação da análise. Os documentos entregues à instituição de pagamento seguem os prazos de guarda regulatória dela, sobre os quais não temos ingerência.
• •Trilha de auditoria: conservada enquanto durar a relação contratual e, no mínimo, por 6 (seis) meses, na forma do art. 15 da Lei nº 12.965/2014. A trilha registra a ação, o autor e o momento; não armazena o conteúdo dos registros de clientes, contatos ou veículos.

Ternavi

O Ternavi tem rotina de retenção, e ela vem com duas qualificações honestas. O registro clínico é conservado pelo prazo que a clínica define, com piso de 60 (sessenta) meses codificado na plataforma, porque o prontuário médico-veterinário está sujeito a dever de guarda e o art. 16, I da LGPD ressalva expressamente essa hipótese.

14.Transferência internacional

O banco de dados, as aplicações, os arquivos que os produtos guardam e as cópias de segurança estão no Brasil, em São Paulo. Essa é uma decisão de arquitetura: as maiores categorias de dado pessoal que tratamos não estão sujeitas ao regime de transferência internacional dos arts. 33 a 36 da LGPD.

Permanecem como tratamento fora do país, e apenas estes:

• •WhatsApp (Meta) — entrega das mensagens, em infraestrutura global. Recebe o número de telefone do destinatário e o conteúdo da mensagem. Hipótese: art. 33, IX c/c art. 7º, V, por ser a transferência necessária à execução do serviço de comunicação contratado. A entrega pela rede da Meta é inerente ao canal: não há o que assinar e não há o que substituir.
• •Resend — envio de e-mails transacionais, nos Estados Unidos. Recebe o endereço de e-mail do destinatário, o nome quando aplicável, e o conteúdo da mensagem. Hipótese: art. 33, IX c/c art. 7º, V — a entrega da mensagem é a própria execução do serviço contratado.
• •Sentry — captura de erros da aplicação, no Ternavi, utilizada apenas quando a integração está configurada. Recebe rastros técnicos de execução, com body, cookies, querystring e endereços de e-mail removidos antes do envio. A região de tratamento depende da organização Sentry configurada; enquanto a captura estiver desativada, nenhum dado sai do país por esse caminho, e a hipótese do art. 33 aplicável será indicada aqui quando a captura for habilitada.

As hipóteses do art. 33 são alternativas, e não cumulativas. A transferência é lícita se qualquer uma delas a ampara, e publicamos a que se verifica hoje, não a que pretendemos ter. Não invocamos as cláusulas contratuais da Resolução CD/ANPD nº 19/2024 para estas transferências, porque não há nenhuma em vigor com estes fornecedores: publicar fundamento não verificado é falha de transparência do art. 6º, VI — no único parágrafo que existe para ser preciso.

Registramos, por transparência, um ponto que a escolha de região não resolve: os fornecedores de nuvem são sociedades estrangeiras, e o acesso administrativo remoto a partir do exterior, nos termos dos contratos desses fornecedores, pode configurar tratamento fora do território nacional. Preferimos declará-lo a omiti-lo.

15.Onde os dados ficam, e se podem ser restaurados

• •As aplicações e o banco PostgreSQL compartilhado rodam em uma única máquina virtual na região southamerica-east1 do Google Cloud, em São Paulo.
• •Os arquivos que os produtos guardam — fotos e documentos de veículo, papelada cadastral, mídia clínica, dossiês em PDF — ficam no Amazon S3, região sa-east-1, no Brasil.
• •As cópias de segurança de todos os bancos são feitas diariamente para o Amazon S3, região sa-east-1, com regra de ciclo de vida de 30 dias, separadas do ambiente de produção.

A restaurabilidade é comprovada, não afirmada. Cópia de segurança que ninguém restaurou é um arquivo, não uma cópia de segurança — então restauramos em banco descartável e registramos o resultado com data. O ensaio de 7 de setembro de 2026 restaurou o último dump do GerTruck e o validou: 40 tabelas, 6.948 linhas, chaves estrangeiras íntegras.

16.Segurança

As medidas abaixo são as que conseguimos apontar. Descrevemos o que existe, e não o que uma seção de segurança costuma dizer.

• •Todo o tráfego é protegido por TLS: do navegador à aplicação, da aplicação aos fornecedores, e em toda chamada à Graph API da Meta.
• •Chaves de API são armazenadas apenas como hash. Só o hash é persistido, então a chave em si não é recuperável a partir do nosso banco, e a consulta compara hashes.
• •Senhas nos produtos são armazenadas apenas como hash, nunca em texto legível, e códigos de verificação de uso único são guardados como hash, com validade curta e limite de tentativas.
• •Toda chamada da Meta é conferida por HMAC sobre os bytes exatos recebidos, comparados em tempo constante, e a conferência falha FECHADA: requisição sem assinatura, com assinatura errada ou com segredo do app vazio recusa tudo — e a recusa acontece antes de qualquer escrita no banco.
• •Cada aplicação conecta ao PostgreSQL por um papel dedicado de menor privilégio, que é dono apenas do próprio banco, com CONNECT revogado do PUBLIC. Nunca como superusuário do banco.
• •Endereços de destinatário são mascarados nas leituras de suporte: telefone conserva só os quatro últimos dígitos e e-mail conserva no máximo dois caracteres antes da arroba. O mesmo mascaramento é aplicado dentro de texto livre, porque a mensagem de erro de um provedor cita o número ou o endereço literalmente.
• •O acesso é controlado por papel, e os produtos mantêm trilha de auditoria das ações relevantes, inclusive dos acessos a dados pessoais.
• •Os bancos têm cópia de segurança diária, no Brasil, com ensaios de restauração datados, na forma da seção 15.

O token de acesso do Cliente

O token nunca é devolvido por nenhuma resposta de API e nunca é escrito em nenhum log. Isso não é afirmação que se apoia em disciplina: a forma de resposta que a nossa API publica não tem campo para ele, e uma conferência de contrato em tempo de compilação reprova o build se a forma que o código devolve deixar de casar com a forma publicada. O token sai do nosso serviço em uma única direção: como cabeçalho de autorização para a Meta.

Nenhum método de transmissão pela internet ou de armazenamento eletrônico é absolutamente seguro, e nenhum sistema é totalmente imune a incidentes. Diante de incidente de segurança que possa acarretar risco ou dano relevante, atuamos na forma da LGPD e da Resolução CD/ANPD nº 15, de 24 de abril de 2024. Quando o incidente alcançar dados que tratamos como operadores, comunicamos o Cliente controlador sem demora injustificada, com os elementos de que dispusermos, para que ele avalie o risco e cumpra os seus deveres; nessa hipótese, a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados é responsabilidade do Cliente, na qualidade de controlador, e nós cooperamos com as informações e o apoio técnico necessários. Quando o incidente alcançar dados dos quais somos controladores, esse dever é nosso, e o cumpriremos sem demora injustificada.

17.Como pedir a eliminação

As instruções, em uma única tela, sem login e sem formulário, estão em /pt-br/legal/exclusao-de-dados. Em resumo: escreva para privacy@gango.tech com as palavras “exclusão de dados”, o número de telefone em formato internacional e o nome da empresa, se você o souber. Não envie documentos, número de cartão nem número de documento de identificação — nós nunca os pedimos.

Confirmamos o recebimento e respondemos em até 5 (cinco) dias úteis, seja para dizer que está feito, seja para informar de forma fundamentada o que não é possível atender e por quê. Os direitos mudam materialmente conforme quem pede, e por isso a página de exclusão separa três casos:

• •Uma pessoa que recebeu mensagem no WhatsApp. Conhecemos você por um número de telefone e por nada mais. Paramos de escrever para você — a oposição é conferida no momento da entrega, então ela alcança até mensagens já enfileiradas — e apagamos o número e o conteúdo do log de entrega, conservando o registro da entrega. Não conseguimos apagar a mensagem do seu aparelho, da Meta, nem da empresa que lhe escreveu: aquela empresa é a controladora, e encaminhamos o seu pedido a ela em até 5 dias úteis, prestando o apoio técnico necessário.
• •Uma empresa Cliente. Desconectar um número apaga a nossa cópia do token; ele continua válido na Meta até que você mesmo o revogue no Business Manager. A exclusão de um tenant é procedimento manual, em até 5 dias úteis — o GerTruck não tem expurgo automático nem caminho de código de exclusão de tenant —, e informamos qual dos dois se aplicou ao seu pedido.
• •Um titular exercendo o art. 18. A resposta é por produto, porque os produtos diferem: no Ternavi há anonimização e exportação que a clínica executa na hora, com os limites da seção 13; no GerTruck o truck center é o controlador, e encaminhamos em até 5 dias úteis, aplicando ao que ficar conosco os critérios de conservação da seção 13.

18.Relato de vulnerabilidade de segurança

Se você encontrou uma vulnerabilidade no nosso software ou neste site, escreva para security@gango.tech. Descreva o que fez, o que observou e o que for necessário para reproduzir.

• •Confirmamos o recebimento e informamos o que apuramos. Não exigimos autorização prévia para pesquisa de boa-fé, e não perseguiremos quem relate de boa-fé.
• •Pedimos que não acesse, altere nem extraia dado de terceiros, e que não degrade o serviço. Se encontrar dado pessoal, pare e nos avise em vez de coletá-lo.
• •Pedimos um prazo razoável para corrigir antes de divulgação pública.
• •Não temos programa pago de recompensa. Damos crédito a quem pedir para ser creditado.

Relato que diga respeito especificamente ao canal de WhatsApp — abuso de um número que operamos, mensagens que você acredita terem sido enviadas sem base legal — chega no mesmo endereço, e é tratado com o mesmo relógio.

19.Crianças e adolescentes

Os nossos produtos são contratados por empresas e não se destinam a crianças nem a adolescentes. Não tratamos conscientemente dado pessoal de criança, e não coletamos nada com essa finalidade. Onde o dado de uma criança apareça nos registros de um Cliente, o controlador é aquele Cliente, e é a ele que se aplica o art. 14 da LGPD, com o seu critério de melhor interesse e a exigência de consentimento específico de um dos pais ou do responsável legal.

20.Alterações desta Política

Esta Política é versionada e datada: é a versão 1.0, com última atualização em 12 de setembro de 2026. A versão em inglês traz a mesma versão e a mesma data, e uma revisão que caísse em apenas um dos dois idiomas produziria duas versões vigentes do mesmo documento.

• •Fornecedor novo, destino novo fora do Brasil ou mudança no que um fornecedor já existente recebe alteram esta Política ANTES do deploy. Essa ordem é a regra, não uma cortesia: política atualizada depois documenta que sabíamos e publicamos mesmo assim.
• •Alterações relevantes são comunicadas aos Clientes por e-mail ou na plataforma, com atualização da data no topo deste documento.
• •Guardamos as versões anteriores. Peça pelo canal de privacidade a redação vigente em determinada data, e nós a enviamos.

21.Reclamações

Três canais, e eles não são alternativos entre si em todos os casos:

• •Nós. privacy@gango.tech, para qualquer ponto deste documento e para todo dado de que somos controladores, na forma da seção 3.
• •O Cliente. Quando o controlador é o Cliente — tudo o que um truck center guarda sobre os clientes dele, tudo o que uma clínica guarda sobre tutores e pacientes —, a reclamação pertence àquele Cliente, que publica o canal dele. Se você nos escrever, encaminhamos em até 5 dias úteis e prestamos ao Cliente o apoio técnico necessário; não respondemos no mérito no lugar dele.
• •A ANPD. Você pode apresentar reclamação à Autoridade Nacional de Proteção de Dados a qualquer momento, na forma do art. 18, §1º da LGPD. Não é preciso procurar-nos antes, e fazê-lo não renuncia a nada.

Controvérsias sobre esta Política regem-se pela lei brasileira, com foro em São Paulo/SP, nos termos e com a qualificação constantes dos Termos do Canal. Nada aqui restringe o direito do titular de recorrer à autoridade ou ao Judiciário.